特許 6575883 通信制御装置、通信システム、通信制御方法、及び制御プログラム

(19)【発行国】日本国特許庁(JP)

(12)【公報種別】特許公報(B1)

(11)【特許番号】6575883

(24)【登録日】2019年8月30日

(45)【発行日】2019年9月18日

(54)【発明の名称】通信制御装置、通信システム、通信制御方法、及び制御プログラム

(51)【国際特許分類】

   H04L 12/66 20060101AFI20190909BHJP

【ＦＩ】

   H04L12/66 B

【請求項の数】6

【全頁数】18

(21)【出願番号】特願2018-54203(P2018-54203)

(22)【出願日】2018年3月22日

【審査請求日】2018年3月22日

(73)【特許権者】

【識別番号】000227205

【氏名又は名称】ＮＥＣプラットフォームズ株式会社

(74)【代理人】

【識別番号】100103894

【弁理士】

【氏名又は名称】家入 健

(72)【発明者】

【氏名】岩松 洋史

【審査官】 鈴木 肇

(56)【参考文献】

【文献】 特開２００４−３０４３７１（ＪＰ，Ａ）

【文献】 特開２００７−３００３０７（ＪＰ，Ａ）

【文献】 特開２０１２−２３１３８２（ＪＰ，Ａ）

【文献】 特開２００５−２１７７１５（ＪＰ，Ａ）

【文献】 伊藤 玄蕃，これならわかる ルータ，ＮＥＴＷＯＲＫ ＭＡＧＡＺＩＮＥ 第８巻 第９号，日本，株式会社アスキー，２００３年，第8巻，第72-79頁

(58)【調査した分野】（Int.Cl.，ＤＢ名）

Ｈ０４Ｌ １２／００−１２／２８

Ｈ０４Ｌ １２／４４−１２／９５５

(57)【特許請求の範囲】

【請求項1】

ルーティングテーブルを記憶する記憶部と、
ファイアウォール機能と、受信したパケットを前記ルーティングテーブルに基づき中継するレイヤ２ブリッジ機能と、通信経路上の経路情報を前記ルーティングテーブルに反映する反映機能と、を有する制御部と、
を備え、
前記制御部は、サブネットワーク内の機器から他のサブネットワーク内の機器に送信されたパケットを、前記ルーティングテーブルに基づき、前記ファイアウォール機能へ転送することなく前記他のサブネットワーク内の機器に転送するフィルタ機能を有し、
前記ルーティングテーブルは、受信したパケットの転送先のサブネットワークを示すサブネット情報と、前記サブネット情報が示す転送先のサブネットワークに転送可能な転送先の機器を指定するネクストホップ情報と、を関連付けたテーブルを含み、
予め定められた前記他のサブネットワークに関連付けられた前記ネクストホップ情報は、前記サブネットワーク内の機器のうちの予め定められた機器を示す第１情報であり、
予め定められていない前記他のサブネットワークに関連付けられた前記ネクストホップ情報は、前記サブネットワーク内の機器のうちの、前記ファイアウォール機能を通過して渡す予め定められた機器を示す第２情報であり、
前記ファイアウォール機能は、前記第２情報が示す機器と前記フィルタ機能との間の経路に設けられた機能である、
通信制御装置。

【請求項2】

前記反映機能は、受信したパケットから前記経路情報を取得し、取得された前記経路情報に基づき前記ルーティングテーブルを反映する、
請求項１に記載の通信制御装置。

【請求項3】

前記反映機能は、ユーザ操作により入力された前記経路情報に基づき前記ルーティングテーブルを反映する、
請求項１又は２に記載の通信制御装置。

【請求項4】

請求項１から３のいずれか１項に記載の通信制御装置と、
前記サブネットワークに属する機器と、
前記他のサブネットワークに属する機器と、
を備えた、通信システム。

【請求項5】

ルーティングテーブルを記憶する記憶部を備えるとともにファイアウォール機能及びレイヤ２ブリッジ機能を備えた通信制御装置によって実行される通信制御方法であって、
通信経路上の経路情報を前記ルーティングテーブルに反映する反映ステップと、
前記レイヤ２ブリッジ機能により、受信したパケットを前記ルーティングテーブルに基づき中継する中継ステップと、
サブネットワーク内の機器から他のサブネットワーク内の機器に送信されたパケットを、前記ルーティングテーブルに基づき、前記ファイアウォール機能へ転送することなく前記他のサブネットワーク内の機器に転送するフィルタリングステップと、
を有し、
前記ルーティングテーブルは、受信したパケットの転送先のサブネットワークを示すサブネット情報と、前記サブネット情報が示す転送先のサブネットワークに転送可能な転送先の機器を指定するネクストホップ情報と、を関連付けたテーブルを含み、
予め定められた前記他のサブネットワークに関連付けられた前記ネクストホップ情報は、前記サブネットワーク内の機器のうちの予め定められた機器を示す第１情報であり、
予め定められていない前記他のサブネットワークに関連付けられた前記ネクストホップ情報は、前記サブネットワーク内の機器のうちの、前記ファイアウォール機能を通過して渡す予め定められた機器を示す第２情報であり、
前記ファイアウォール機能は、前記第２情報が示す機器と前記フィルタリングステップの処理位置との間の経路に設けられた機能である、
通信制御方法。

【請求項6】

ルーティングテーブルを記憶する記憶部を備えるとともにファイアウォール機能及びレイヤ２ブリッジ機能を備えた通信制御装置に実行させるための制御プログラムであって、
前記通信制御装置に、
通信経路上の経路情報を前記ルーティングテーブルに反映する反映ステップと、
前記レイヤ２ブリッジ機能により、受信したパケットを前記ルーティングテーブルに基づき中継する中継ステップと、
サブネットワーク内の機器から他のサブネットワーク内の機器に送信されたパケットを、前記ルーティングテーブルに基づき、前記ファイアウォール機能へ転送することなく前記他のサブネットワーク内の機器に転送するフィルタリングステップと、
を実行させるための制御プログラムであり、
前記ルーティングテーブルは、受信したパケットの転送先のサブネットワークを示すサブネット情報と、前記サブネット情報が示す転送先のサブネットワークに転送可能な転送先の機器を指定するネクストホップ情報と、を関連付けたテーブルを含み、
予め定められた前記他のサブネットワークに関連付けられた前記ネクストホップ情報は、前記サブネットワーク内の機器のうちの予め定められた機器を示す第１情報であり、
予め定められていない前記他のサブネットワークに関連付けられた前記ネクストホップ情報は、前記サブネットワーク内の機器のうちの、前記ファイアウォール機能を通過して渡す予め定められた機器を示す第２情報であり、
前記ファイアウォール機能は、前記第２情報が示す機器と前記フィルタリングステップの処理位置との間の経路に設けられた機能である、
制御プログラム。

【発明の詳細な説明】

【技術分野】

【0001】

本開示は、通信制御装置、通信システム、通信制御方法、及び制御プログラムに関する。

【背景技術】

【0002】

レイヤ２ブリッジモードで働く通信制御装置は、ファイアフォール機能を備える場合、受信したパケットに対し必ずそのファイアウォール機能を通過させることになる。この場合、ＴＣＰ（Transmission Control Protocol）の状態不正となる場合が存在し、そのような場合には通信不可状態に陥ることになる。

【0003】

このような通信不可状態を回避する手段として、通信制御装置に接続されたルータやＰＣ（Personal Computer）のルーティングテーブルの設定を変更する方法がある。

【0004】

例えば、特許文献１には、ネットワーク構成が流動的に変化する環境であっても余分な経路を経由せずにパケット転送を行うことを目的とした仮想ルーティングシステムが開示されている。特許文献１に記載の仮想ルーティングシステムでは、複数の仮想マシンモニタが、相互に異なる仮想ルータＩＰ（Internet Protocol）アドレスをセグメント毎に備える。これらのモニタは、複数の仮想マシンモニタ上で動作する仮想マシンの仮想マシンＩＰアドレスと仮想ルータＩＰアドレスを対応付けた第１のルーティングテーブルをさらに備える。

【0005】

これらのモニタは、パケットを送信する際に、第１のルーティングテーブルを参照することにより送信するパケットの宛先仮想ルータＩＰアドレスを識別し、識別した宛先仮想ルータＩＰアドレスが自仮想マシンモニタと同一であるか否かを判別する。これらのモニタは、判別の結果、自仮想マシンと同一の場合は宛先ＭＡＣアドレスを宛先仮想マシンのＭＡＣアドレスに変換し、同一でなかった場合は宛先ＭＡＣアドレスを宛先仮想ルータのＭＡＣアドレスに変換し、変換後のパケットを送信する。

【先行技術文献】

【特許文献】

【0006】

【特許文献1】特開２０１２−２３１３８２号公報

【発明の概要】

【発明が解決しようとする課題】

【0007】

しかしながら、特許文献１に記載の技術では、ネットワーク構成が複雑になるほど、システムエンジニアの手間がかかる。また、システムエンジニアやネットワーク管理者自体が居ない場合には、ネットワーク障害として、ルータ等の装置メーカが保守対応することになり、装置メーカ側にとって手間がかかることになる。

【0008】

このように、レイヤ２ブリッジモードで働く、ファイアウォール機能を含む、通信制御装置の配下に、異なるサブネットが設けられたネットワーク環境においては、次のようなことが求められる。即ち、このようなネットワーク環境では、その異なるサブネット内に設置された機器間（例えばＰＣとサーバとの間）の通信を支障なく行うことが求められ、また、システムエンジニアや装置メーカの手間を軽減することも求められる。

【0009】

本開示の目的は、上述した課題を解決する通信制御装置、通信システム、通信制御方法、及び制御プログラムを提供することにある。上記課題は、ファイアフォール機能を備えレイヤ２ブリッジモードで働く通信制御装置において、異なるサブネット内に設置された機器間での通信を支障なく行うためには、システムエンジニアや装置メーカの手間がかかってしまうというものである。

【課題を解決するための手段】

【0010】

本開示の第１の態様に係る通信制御装置は、
ルーティングテーブルを記憶する記憶部と、
ファイアウォール機能と、受信したパケットを前記ルーティングテーブルに基づき中継するレイヤ２ブリッジ機能と、通信経路上の経路情報を前記ルーティングテーブルに反映する反映機能と、を有する制御部と、
を備え、
前記制御部は、サブネットワーク内の機器から他のサブネットワーク内の機器に送信されたパケットを、前記ルーティングテーブルに基づき、前記ファイアウォール機能へ転送することなく前記他のサブネットワーク内の機器に転送するフィルタ機能を有する、ものである。

【0011】

本開示の第２の態様に係る通信制御方法は、
ルーティングテーブルを記憶する記憶部を備えるとともにファイアウォール機能及びレイヤ２ブリッジ機能を備えた通信制御装置によって実行される通信制御方法であって、
通信経路上の経路情報を前記ルーティングテーブルに反映する反映ステップと、
前記レイヤ２ブリッジ機能により、受信したパケットを前記ルーティングテーブルに基づき中継する中継ステップと、
サブネットワーク内の機器から他のサブネットワーク内の機器に送信されたパケットを、前記ルーティングテーブルに基づき、前記ファイアウォール機能へ転送することなく前記他のサブネットワーク内の機器に転送するフィルタリングステップと、
を有する、ものである。

【0012】

本開示の第３の態様に係る制御プログラムは、
ルーティングテーブルを記憶する記憶部を備えるとともにファイアウォール機能及びレイヤ２ブリッジ機能を備えた通信制御装置に実行させるための制御プログラムであって、
前記通信制御装置に、
通信経路上の経路情報を前記ルーティングテーブルに反映する反映ステップと、
前記レイヤ２ブリッジ機能により、受信したパケットを前記ルーティングテーブルに基づき中継する中継ステップと、
サブネットワーク内の機器から他のサブネットワーク内の機器に送信されたパケットを、前記ルーティングテーブルに基づき、前記ファイアウォール機能へ転送することなく前記他のサブネットワーク内の機器に転送するフィルタリングステップと、
を実行させるための制御プログラムである。

【発明の効果】

【0013】

本開示により、上記課題を解決する通信制御装置、通信システム、通信制御方法、及び制御プログラムを提供することができる。即ち、本開示によれば、ファイアフォール機能を備えレイヤ２ブリッジモードで働く通信制御装置において、システムエンジニアや装置メーカの手間をかけることなく、異なるサブネット内に設置された機器間での通信を支障なく行うことができる。

【図面の簡単な説明】

【0014】

【図1】実施形態１に係る通信制御装置の一構成例を示すブロック図である。

【図2】実施形態２に係る通信制御装置を備えた通信システムの一構成例を示す図である。

【図3】図２の通信システムにおける通信制御装置の一構成例を示す機能ブロック図である。

【図4】図３の通信制御装置で使用されるルーティングテーブルの一例を示す図である。

【図5】図３の通信制御装置において書き換えられる前のパケットの一例を示す図である。

【図6】図３の通信制御装置において書き換えられた後のパケットの一例を示す図である。

【図7】図３の通信システムにおける通信制御方法の一例を説明するためのフロー図である。

【図8】実施形態２に係る通信制御装置を備えた通信システムの他の構成例を示す図である。

【図9】実施形態３に係る通信制御装置の一構成例を示す機能ブロック図である。

【図10】図９の通信制御装置で解析されるパケットの一例を示す図である。

【図11】通信制御装置のハードウェア構成の一例を示す図である。

【発明を実施するための形態】

【0015】

以下、図面を参照して、実施形態について説明する。なお、実施形態において、同一又は同等の要素には、同一の符号を付し、重複する説明は省略される。

【0016】

＜実施形態１＞
図１は、実施形態１に係る通信制御装置の一構成例を示すブロック図である。
図１に示すように、本実施形態に係る通信制御装置１は、制御部１ａ及び記憶部１ｂを有する。通信制御装置１は、通信を中継することができる装置であり、そのための通信ポート（通信インタフェース）等を有することができる。

【0017】

例えば、制御部１ａ（又は制御部１ａ及び記憶部１ｂ）は集積回路（Integrated Circuit）によって実現することができ、記憶部１ｂは半導体メモリによって実現することができる。また、制御部１ａは、例えば、ＣＰＵ（Central Processing Unit）、作業用メモリ、及びプログラムを記憶した不揮発性の記憶装置などによって実現することもできる。

【0018】

そして、本実施形態の主たる特徴として、制御部１ａは、ファイアウォール機能、レイヤ２ブリッジ機能、反映機能、及びフィルタ機能を有する。レイヤ２ブリッジ機能は、受信したパケットをルーティングテーブルに基づき中継する機能である。記憶部１ｂは、制御部１ａで使用するこのルーティングテーブルを記憶する。

【0019】

レイヤ２ブリッジ機能は、中継先として通常、ファイアウォール機能を経由した機器を選択するが、後述するようにフィルタ機能によりこのような機器以外に中継することもある。ファイアウォール機能は、不正なパケットの受信を拒否する機能をもち、受信したパケットのうちセキュリティ上問題のないパケットを通過させ、問題のあるパケット（不正なパケット）をブロックして破棄することができる。

【0020】

このように、通信制御装置１は、レイヤ２ブリッジとして設置される装置であり、ファイアウォール機能を有する。つまり、通信制御装置１は、レイヤ２ブリッジ機能及びファイアウォール機能をもつ装置であり、レイヤ２ブリッジで動作するファイアウォール装置と称することもできる。

【0021】

また、反映機能は、通信経路上の経路情報（通信情報）を記憶部１ｂのルーティングテーブルに反映する。この反映機能により、レイヤ２ブリッジとして設置された通信制御装置１は、動的なネットワークの変更に対応可能で、レイヤ２ブリッジ機能により受信パケットを反映後の（保存した）ルーティングテーブルから適切な中継先（転送先）に中継することができる。なお、反映機能は、レイヤ２ブリッジ機能における設定機能の一つとして含めることができる。

【0022】

そして、フィルタ機能は、サブネットワーク内の機器から他のサブネットワーク内の機器に送信されたパケットを、ルーティングテーブルに基づき、ファイアウォール機能へ転送することなく上記他のサブネットワーク内の機器に転送する。ここで参照されるルーティングテーブルは、記憶部１ｂに記憶されたもの、つまり反映機能で反映されたものである。

【0023】

本実施形態に係る通信制御装置１によれば、ファイアフォール機能を備えレイヤ２ブリッジモードで働かせるに際し、システムエンジニアや装置メーカの手間をかけることなく、異なるサブネット内に設置された機器間での通信を支障なく行うことができる。

【0024】

＜実施形態２＞
実施形態２について、図２〜図７を併せて参照しながら、実施形態１との相違点を中心に説明するが、実施形態１で説明した様々な例が適用できる。図２は、実施形態２に係る通信制御装置を備えた通信システムの一構成例を示す図で、図３は、図２の通信システムにおける通信制御装置の一構成例を示す機能ブロック図である。図４は、図３の通信制御装置で使用されるルーティングテーブルの一例を示す図である。

【0025】

図２に示すように、本実施形態に係る通信システムは、通信制御装置１０と、ルータＡ（２）、ＰＣ３、及びルータＢ（４）とが接続され、ルータＢ（４）と転送先サーバ５とが接続されたネットワーク構成を有する。以下、図２に示すようなネットワーク構成に基づき本実施形態を説明するが、本実施形態はこのようなネットワーク構成に限ったものではない。例えばルータ等の通信装置が複数存在して通信経路が複数存在するようなネットワーク構成であって、通信制御装置１０がレイヤ２ブリッジとして設置されるようなネットワーク構成に適用できる。なお、ＰＣ３の代わりに、携帯電話機（スマートフォンと称されるものも含む）等の機器を配置することもできる。

【0026】

ルータＡ（２）は、インターネットに接続されており、通信制御装置１０は、そのルータＡ（２）とＰＣ３及びルータＢ（４）との間にレイヤ２ブリッジとして接続されている。なお、ＰＣ３及びルータＢ（４）は、ＬＡＮ（Local Area Network）を構成することができる。転送先サーバ５は、ＰＣ３からパケットを転送する転送先の例であり、例えば他のＰＣ等とすることもできる。

【0027】

このネットワーク構成においては、各機器のＩＰアドレスの例を図示したように、ルータＡ（２）、ＰＣ３、及びルータＢ（４）は第１サブネット６に属する。また、このネットワーク構成では、転送先サーバ５は第１サブネット６とは異なる第２サブネット７に属し、ルータＢ（４）は第２サブネット７にも属することとなる。このように、本実施形態に係る通信システムは、通信制御装置１０と、サブネットワーク（この例では第１サブネット６）に属する機器と、他のサブネットワーク（この例では第２サブネット７）に属する機器と、を備えることができる。

【0028】

通信制御装置１０は、図１の通信制御装置１に対応する装置であり、図３に通信制御装置１０の内部構成例を示すような構成を有することができる。即ち、通信制御装置１０は、ファイアウォール機能１１、フィルタ機能１２、ルーティングテーブル１３、ＩＮＰＵＴ（ＩＮＰＵＴブロック）１４、及びＯＵＴＰＵＴ（ＯＵＴＰＵＴブロック）１５を備えることができる。

【0029】

ファイアウォール機能１１、フィルタ機能１２、ＩＮＰＵＴ１４、及びＯＵＴＰＵＴ１５は、制御プログラム（ソフトウェア；ファームウェアとも称する）、それを実行するＣＰＵ等の制御部、及びハードウェアとしての入出力ポートなどで実現することができる。その他、通信制御装置１０は、図示しないレイヤ２ブリッジ機能及び反映機能を有する。このレイヤ２ブリッジ機能及び反映機能もソフトウェア、それを実行する制御部、及び上記入出力ポートなどで実現することができる。なお、反映機能は、レイヤ２ブリッジ機能における設定機能の一つとして含めることができる。

【0030】

ＩＮＰＵＴ１４は、ＰＣ３又はルータＢ（４）から送信されるＴＣＰパケットを受信し、フィルタ機能１２にそのパケットを渡す。フィルタ機能１２は、受け取ったパケットの宛先ＭＡＣ（Media Access Control）アドレスと宛先ＩＰアドレスとルーティングテーブル１３を比較して、宛先ＭＡＣアドレスを書き換える機能を有する。フィルタ機能１２は、宛先ＭＡＣアドレスを書き換えたパケットの宛先を確認し、ファイアウォール機能１１又はＯＵＴＰＵＴ１５のうちの宛先に対応する側にそのパケット渡す。

【0031】

ＯＵＴＰＵＴ１５は、フィルタ機能１２から渡されたパケットを転送する。ファイアウォール機能１１は、フィルタ機能１２から送られてきたパケットを検査し、セキュリティ上問題がない場合にはルータＡ（２）にそのパケットを転送する。

【0032】

また、上述の反映機能は、受信したパケットから経路情報（通信情報）を取得し、取得された経路情報に基づきルーティングテーブル１３を反映することができる。この取得は、通信経路上を定期的に監視しておくことで自動的に実行するようにすることが好ましい。つまり、反映機能は自動反映機能を有することが好ましい。これにより動的にネットワークの変更に対応することができる。

【0033】

また、上述の反映機能は、ユーザ操作により入力された経路情報に基づきルーティングテーブル１３を反映することができる。つまり、反映機能は手動反映機能を有することができる。通信制御装置１０は、ルーティングテーブル１３の反映を、上述のような自動的な実行とユーザ操作による手動での実行との双方で行うことができるように構成しておくことが好ましい。手動での経路情報の入力は、通信制御装置１０に別途設けた操作スイッチ等の操作部から行うことができ、また、通信制御装置１０に接続したＰＣ（例えばＰＣ３）などから、通信制御装置１０が提供するユーザインタフェースを使用して行うことができる。

【0034】

また、ルーティングテーブル１３は、図４に示すルーティングテーブル４０のように、サブネット情報とネクストホップ情報とを対で保持することができる。つまり、ルーティングテーブル１３には、サブネット情報とネクストホップ情報とを関連付けたテーブルが含まれている。サブネット情報は、受信したパケットの転送先のサブネットワーク（サブネット）を示す情報である。ネクストホップ情報は、そのサブネット情報が示す転送先のサブネットワークに転送可能な転送先の機器を指定する情報である。

【0035】

例えば、反映機能は、ユーザが手動設定した経路情報と通信経路に転送されるパケットの情報を基に、ＬＡＮ側のサブネット情報とルータＡ（２）やルータＢ（４）のＩＰアドレスをネクストホップ情報として、ルーティングテーブル１３に保持（反映）する。その結果として、ルーティングテーブル１３は、ルーティングテーブル４０に示すような情報が保持されることになる。

【0036】

また、ルーティングテーブル４０で例示したように、ネクストホップ情報は、次のような情報とすることができる。即ち、予め定められた他のサブネットワーク（この例では第２サブネット７）に関連付けられたネクストホップ情報は、サブネットワーク（この例では第１サブネット６）内の機器のうちの予め定められた機器を示す情報とすることができる。この予め定められた機器は、この例ではルータＢ（４）に該当する。なお、予め定められたとは、ルーティングテーブル１３（４０）を参照する時点で定められていればよく、予め定められていないとはその時点で定められていなければよい。

【0037】

さらに、予め定められていない他のサブネットワーク（この例では第２サブネット７以外）に関連付けられたネクストホップ情報は、サブネットワーク（この例では第１サブネット６）内の機器のうちのデフォルト機器を示す情報とすることができる。このデフォルト機器は、ファイアウォール機能１１を通過して渡す予め定められた機器を指し、この例ではルータＡ（２）に該当する。

【0038】

フィルタ機能１２における、このような情報が含まれるルーティングテーブル１３（４０）を参照したフィルタリング処理について説明する。フィルタ機能１２は、第１サブネット６に流れているパケットを監視し、送信先ＩＰアドレスとサブネット情報を内部のルーティングテーブル１３（４０）と比較する。

【0039】

そして、フィルタ機能１２は、そのパケットに含まれる情報がルーティングテーブル４０に一致していれば、登録先のネクストポップ情報が示す機器にそのパケットを転送する。この際、上述したように、フィルタ機能１２は、受け取ったパケットの宛先ＭＡＣ（Media Access Control）アドレスと宛先ＩＰアドレスとルーティングテーブル１３を比較して、宛先ＭＡＣアドレスを転送先の機器を示すものに書き換える。ルーティングテーブル４０の一段目に示すサブネット情報である場合には、転送先の機器がルータＢ（４）と決まり、ルータＢ（４）を示す宛先ＭＡＣアドレスに書き換えられることになる。そして、この場合、フィルタ機能１２は、ＯＵＴＰＵＴ１５にそのパケット渡すことになり、ファイアウォール機能１１を通過させない。

【0040】

このようにして、フィルタ機能１２は、異なるサブネットの機器に対して送信されたパケットを、ルーティングテーブル４０に基づき、ファイアウォール機能１１へ転送することなく送信先のサブネット内の機器（この例ではルータＢ（４））に転送する。

【0041】

このように、通信制御装置１０は、レイヤ２ブリッジモードで働く装置であって、ファイアウォール機能１１の前段に、フィルタ機能１２を設けている。そして、フィルタ機能１２が、ＰＣ３から送信された要求パケットを、ファイアウォール機能１１側へ転送することなく、転送先サーバ５が属する第２サブネット７のルータＢ（４）へリダイレクトする。これにより、ＴＣＰの行きと戻りが異なる経路を通るパケットを、ファイアウォール機能１１で廃棄することなく通信することができる。

【0042】

一方、登録されていなければ、フィルタ機能１２は、送信元ＩＰアドレスと登録済みのネクストホップ情報から送信先（転送先）を判定し、判定した転送先にそのパケットを転送する。この例では、判定によりデフォルトのサブネットに対応するＩＰアドレス１９２．１６８．０．１（つまりルータＡ（２））が転送先として判定され、転送が実行される。この場合、フィルタ機能１２は、上述したように、ルータＡ（２）の前段に存在するファイアウォール機能１１にそのパケットを渡すことになる。

【0043】

この例からも分かるように、フィルタ機能１２は、次のような宛先変更機能とすることができる。即ち、宛先変更機能は、ＴＣＰパケットの宛先ＭＡＣアドレスと送信元ＩＰアドレスがルーティングテーブル１３（４０）に存在するか否かを確認し、宛先ＭＡＣアドレスを書き換える。宛先ＭＡＣアドレスは、ルーティングテーブルを基にファイアウォール機能１１を介するか直接送るかを判定し、その判定結果に従い切り替える（書き換える）。

【0044】

次に、図５〜図７を参照しながら、本実施形態に係る通信システムにおける通信制御方法の一例を説明する。図５は、通信制御装置１において書き換えられる前のパケットの一例を示す図で、図６は、書き換えられた後のパケットの一例を示す図である。図７は、図３の通信システムにおける通信制御方法の一例を説明するためのフロー図である。

【0045】

この例では、ＰＣ３には、ルーティングテーブルとして、デフォルトルートがルータＡ（２）のみ設定されているものとする。このとき、第１サブネット６に属するＰＣ３から第２サブネット７に属する転送先サーバ５へパケットを送信する場合、ＰＣ３は、ルータＡ（２）を経由して送信する。つまり、図５で示すパケット５１のようなパケットを送信する。

【0046】

第１サブネット６に属するＰＣ３から第２サブネット７に属する転送先サーバ５へパケットを送信する場合について、図７のフローに沿って説明する。ＰＣ３から転送先サーバ５へのＴＣＰ通信の場合、最初に送信されるＰＣ３が送信するＴＣＰ ＳＹＮパケットはレイヤ２ブリッジのファイアウォール装置である通信制御装置１０が受信する。つまり、ＰＣ３はＴＣＰセッション確立のためのＴＣＰ ＳＹＮパケットをデフォルトゲートウェイであるルータＡ（２）に送信する（ステップＳ１）。このＳＹＮパケットを通信制御装置１０のフィルタ機能１２で一旦終端し、パケットの検査を行う。

【0047】

フィルタ機能１２では、ＩＮＰＵＴ１４に入ってきたパケットに対し、送信先ＩＰアドレスである１９２．１６８．１００．１００とサブネット情報である１９２．１６８．１００．０／２４をルーティングテーブル４０と比較する。この例では、送信先ＩＰアドレス１９２．１６８．１００．１００がルーティングテーブル４０に存在する。よって、フィルタ機能１２は、ネクストホップとしてその送信先ＩＰアドレスに関連付けられたルータＢ（４）のＩＰアドレス１９２．１６８．０．１０を決定する（ステップＳ２）。また、ステップＳ２においては、反映機能により経路情報の学習（反映）も行うことができる。フィルタ機能１２は、決定した転送先に従い、そのパケットをファイアウォール機能１１に転送せずに、ＯＵＴＰＵＴ１５に転送する。

【0048】

具体的には、フィルタ機能１２は、送信先ＩＰアドレスがルーティングテーブル４０に存在する場合、ルーティングテーブル４０のネクストホップ情報に従い、パケットの宛先ＭＡＣアドレスをルータＡ（２）からルータＢ（４）に書き換える。そして、フィルタ機能１２は、書き換えたパケットをＯＵＴＰＵＴ１５に渡す。書き換え後のパケットは、図６で示すパケット５２のように、宛先ＭＡＣアドレスがルータＢ（４）を指すパケットとなる。

【0049】

この処理で転送先サーバ５へのパケットは、ルータＡ（２）を介することなくルータＢ（４）宛てにＴＣＰ ＳＹＮパケットとして送信される（ステップＳ３）。ルータＢ（４）は、このパケットを転送先サーバ５に転送する（ステップＳ４）。転送先サーバ５は、転送先サーバ５からの戻りのパケットであるＴＣＰ ＳＮ，ＡＣＫパケットをルータＢ（４）に返送する（ステップＳ５）。ルータＢ（４）は、図２に示すようにＰＣ３と同一の第１サブネット６であるため、ＴＣＰ ＳＹＮ，ＡＣＫを直接ＰＣ３に転送する（ステップＳ６）。

【0050】

この動作により、ＰＣ３と転送先サーバ５間のパケットは通信制御装置１０のファイアウォール機能１１を通過しないため、ファイアウォール機能１１のステートフルパケットインスペクションによって、該当のパケットが廃棄されるような事象は発生しない。なお、このステートフルパケットインスペクションについては後述する。

【0051】

このようにして、この通信システムでは、ＰＣ３からのＴＣＰ ＳＹＮパケットを通信制御装置１０で一旦終端させ、経路情報を判定した後に、ルータＢ（４）にＴＣＰ ＳＹＮパケットを転送する。そして、この通信システムでは、転送先サーバ５からの戻りパケットがルータＢ（４）からＰＣ３に直接送られる。

【0052】

その後（ステップＳ６の後）、ＰＣ３からのＴＣＰ ＡＣＫパケットは、通信制御装置１０で一旦終端し、同様に経路情報を判定して経路情報の学習及び決定を行う（ステップＳ８）。その後、このパケットは、ルータＢ（４）に転送され（ステップＳ９）、ルータＢ（４）から転送先サーバ５へ転送され（ステップＳ１０）、ＴＣＰセッションが確立する。

【0053】

一方で、送信先ＩＰアドレスである１９２．１６８．１００．１００がルーティングテーブル４０に存在しない場合、フィルタ機能１２は、次のような処理を行う。即ち、フィルタ機能１２は、パケットの宛先ＭＡＣアドレスを書き換えずにファイアウォール機能１１に送り、デフォルトのネクストホップであるルータＡ（２）に転送する。

【0054】

ここで、比較例として、本実施形態とは異なり、フィルタ機能１２が存在しない場合について説明する。フィルタ機能１２が存在しない場合には、次のような処理になる。

【0055】

まず、ファイアウォール機能１１及びフィルタ機能１２が存在しない場合において、異なるサブネットに属するＰＣ３と転送先サーバ５の間で通信する場合、次のようにして転送先サーバ５へ到達する。即ち、ＰＣ３から送信された要求パケットは、ＰＣ３が属する第１サブネット６のルータＡ（２）で転送先サーバ５が属する第２サブネット７のルータＢ（４）へリダイレクトされ、転送先サーバ５へ到達する。リダイレクトする際、ルータＡ（２）はＰＣ３と直接通信するよう転送先サーバ５へ指示する。そのため、転送先サーバ５からの応答パケットは、ルータＢ（４）を経由した後、ルータＡ（２）を経由せず、ＰＣ３へ到達する。よって、その後は、ＰＣ３と転送先サーバ５の間で直接通信するようになる。

【0056】

そして、このようなネットワーク環境において、ルータＡ（２）の内側に、レイヤ２ブリッジモードで働くファイアウォール機能１１を含む通信装置（通信制御装置）を追加設置した場合には、次のような処理となる。即ち、ＰＣ３からの最初の要求パケットは、その通信制御装置内のファイアウォール機能１１を通過し、ルータＡ（２）でリダイレクトされることになる。一方で、要求パケットに対する転送先サーバ５からの応答パケットが通信制御装置内のファイアウォール機能１１を通過しないため、ファイアウォール機能１１は、当該通信は不正な通信であると判断する。そして、ファイアウォール機能１１は、その後同様の通信要求があった場合に、当該要求パケットをブロックするように働き、ＰＣ３と転送先サーバ５の間の通信が不可能になってしまう。

【0057】

フィルタ機能１２が存在しない場合について、具体的に説明する。ＰＣ３から転送先サーバ５にパケットを送信する場合、転送先サーバ５のＩＰアドレスのサブネット１９２．１６８．１００．０／２４はＰＣ３のサブネット１９２．１６８．０．０／２４と異なる。よって、ＰＣ３はサブネットの異なるパケットをデフォルトゲートウェイであるルータＡ（２）に転送することになる。

【0058】

ルータＡ（２）は、ルータＢ（４）と自動的に行われる経路情報の交換処理にて転送先サーバ５がルータＢ（４）の管理するネットワークに存在していることを認識している。このため、ルータＡ（２）は、ルータＡ（２）のルーティングテーブルに従って、パケットをルータＢ（４）に転送する。これにより、転送先サーバ５にＰＣ３から送信されたパケットが到達することになる。転送先サーバ５からの戻りのパケットは、転送先サーバ５からルータＢ（４）に送られる。ルータＢ（４）は、ＰＣ３のサブネット情報が１９２．１６８．０．０／２４であるため、ルータＡ（２）に転送することなく同一サブネットであるＰＣ３に、この戻りパケットを直接転送する。このとき、戻りパケットは通信制御装置（通信制御装置１０においてフィルタ機能１２を備えない装置）を経由しない。このため、この後のＰＣ３から転送先サーバ５へのパケットは、通信制御装置のファイアウォール機能１１のステートフルパケットインスペクションによって廃棄されてしまう。

【0059】

ファイアウォール機能１１の処理としての、ステートフルパケットインスペクションについて補足する。これは、パケットの時間的な前後関係まで追跡し、ＴＣＰセッションに基づく正当な手順を踏んだパケットか、手続きを装った不正なものか見極め、不正なパケットの受信を拒否する仕組みである。なお、ＴＣＰセッションに限らず、ＵＤＰ（User Datagram Protocol）等の他のトランスポート層のセッションについても同様である。よって、ＰＣ３から見て、通信経路にルータが複数存在するネットワーク構成において、ファイアウォール機能１１が動作している通信制御装置にＴＣＰ ３ウェイハンドシェイクのパケットの全てが通過しない場合がある。そして、この場合、ファイアウォール機能１１のステートフルパケットインスペクションによって、該当のパケットが廃棄されてしまい、通信のノード間でＴＣＰ通信ができないという問題が発生する。

【0060】

上述したようにフィルタ機能１２が具備されていない場合には通信不可状態となる。しかしながら、本実施形態に係る通信制御装置１０では、フィルタ機能１２を実装している。フィルタ機能１２では、上述したようにＰＣ３から転送されてきた宛先ＩＰアドレスからサブネット情報を確認し、通信制御装置１０に保持させるルーティングテーブル１３（４０）に従って、そのサブネットを管理する適切なネクストホップに転送する処理を行う。よって、本実施形態では、上述のようなパケットの廃棄は生じない。

【0061】

また、本実施形態に係る通信制御装置１０は、サブネット情報とネクストホップの情報をルーティングテーブルで保持しており、ルーティングテーブルへの情報の反映を行う反映機能も備えている。上述したように、反映機能は、手動反映機能及び自動反映機能を有することができ、特に少なくとも自動反映機能を有することが好ましい。上述した通り、自動反映機能は、通信制御装置１０を経由する通信を監視した情報を反映させる自律学習を実行する機能である。

【0062】

以上に説明した本実施形態に係る通信制御装置１０によれば、次の（Ｉ）〜（ＩＩＩ）のような効果を奏する。

【0063】

（Ｉ）レイヤ２ブリッジモードで働く、ファイアウォール機能を含む、通信装置の配下に、異なるサブネットが設けられたネットワーク環境において、その異なるサブネット内に設置されたＰＣ３と転送先サーバ５の間で、支障なく通信が行えるようになる。従って、ユーザが運用していたネットワーク構成に依存することなく、本実施形態のレイヤ２ブリッジとしての通信制御装置１０として、ファイアウォール機能１１によるセキュリティを担保できる。

【0064】

（ＩＩ）本実施形態に係る通信システムは、ルータＡ（２）の直下にファイアウォール機能１１を具備している通信制御装置１０をレイヤ２のブリッジとして設置しているネットワーク構成を有する。そして、このようなネットワーク構成において、通信制御装置１０がＴＣＰセッションの管理ができない場合にも、対象経路となる設定を自動反映機能により動的に学習して転送することができる。このように、通信制御装置１０の設定をユーザが意識することなく、自動的に反映させることもできるため、ユーザビリティが向上する。例えば、ネットワーク設計にコストをかけられないユーザの環境においても、ネットワークを構成する各ノードのネクストホップを設定することなく、通信制御装置１０でネクストホップ情報を集約させ、効率化できるという効果もある。

【0065】

図８を併せて参照し、上記（ＩＩ）に関する効果について説明する。図８は、本実施形態に係る通信システムの他の構成例を示す図である。図８で示す通信システムは、図２及び図３に示した通信システムにおいて、１台のＰＣ３から見て、ルータＡ（２）とルータＢ（４）のように通信経路が複数存在する環境で、新規にルータＣ（８）を追加したものである。

【0066】

新規にルータＣ（８）を追加した場合、自動反映機能がない場合にはルータＡ（２）に経路情報を設定する必要があるが、追加削除毎に設定変更を実施しなければならない点で利便性が悪い。しかしながら、本実施形態に係る通信システムでは、自動反映機能を備えた通信制御装置１０を設置することで、このような点にも対処することができ、利便性を向上させることができる。

【0067】

（ＩＩＩ）通信制御装置１０で自動的に転送先を判定するため、ＰＣ３、ルータＡ（２）、及びルータＢ（４）にその都度設定を行う必要がなくなり、システムエンジニアや装置メーカの手間を軽減できるため、メンテナンスのコストが削減できる。よって、ネットワーク管理者など専門の人員がいない企業やネットワーク設定にコストをかけられないユーザであっても、容易に複数のルータのネットワークを構成できる。

【0068】

＜実施形態３＞
実施形態３について、図９及び図１０を併せて参照し、その効果も含めた実施形態２との相違点を中心に説明する。但し、実施形態３は、実施形態１，２で説明した様々な例が適用できる。図９は、実施形態３に係る通信制御装置の一構成例を示す機能ブロック図で、図１０は、その通信制御装置で解析されるパケットの一例を示す図である。

【0069】

本実施形態に係る通信制御装置１０ａは、上述した自動反映機能の一例として、ＩＣＭＰ（Internet Control Message Protocol）解析機能１６を備える。なお、反映機能について説明したように、ＩＣＭＰ解析機能１６も制御プログラム（ソフトウェア）及びそれを実行するＣＰＵ等で実現することができる。

【0070】

ＩＣＭＰ解析機能１６は、ルータＡ（２）からのＩＣＭＰ Ｒｅｄｉｒｅｃｔメッセージを解析し、ルーティング情報として反映させる。この反映は、ＩＣＭＰ解析機能１６がルーティングテーブル１３へネクストホップ情報を反映させることで行うことができる。

【0071】

ＩＣＭＰ解析機能１６は、通信制御装置１０ａを経由するＩＣＭＰ Ｒｅｄｉｒｅｃｔパケットを解析し、そのゲートウェイＩＰアドレス情報を、ルーティングテーブル１３に反映させる自律学習を行う。具体的には、ＩＣＭＰ解析機能１６は、図１０のＩＣＭＰ Ｒｅｄｉｒｅｃｔメッセージのフォーマット６０に示すようなＩＣＭＰ Ｒｅｄｉｒｅｃｔパケットを解析する。特に、ＩＣＭＰ解析機能１６は、ＩＣＭＰ Ｒｅｄｉｒｅｃｔパケットのタイプとゲートウェイインターネットアドレス、インターネットヘッダ部分を解析し、ルーティングテーブル１３に反映する。

【0072】

通信制御装置１０ａのルーティングテーブル１３に転送先サーバ５のネクストホップ情報が存在しない場合、ＰＣ３から転送先サーバ５へのパケットはルータＡ（２）に送信される。これは、ＰＣ３には、ルーティングテーブルとして、デフォルトルートがルータＡ（２）のみ設定されているためである。このとき、ルータＡ（２）は、ＰＣ３とルータＢ（４）が同一第１サブネット６であるため、経路の変更要求であるＩＣＭＰ ＲｅｄｉｒｅｃｔパケットをＰＣ３に送信する。

【0073】

ルータＡ（２）が生成するＩＣＭＰ Ｒｅｄｉｒｅｃｔパケットには、図１０のフォーマット６０における「インターネットヘッダ＋データグラムのデータ６４ビット」のフィールドにＰＣ３が送信したパケットの情報が載る。また、このＩＣＭＰ Ｒｅｄｉｒｅｃｔパケットには、ゲートウェイインターネットアドレスのフィールドに、ルータＡ（２）が保持するルーティングテーブルのネクストホップ情報が載る。ルータＡ（２）は、生成したＩＣＭＰ ＲｅｄｉｒｅｃｔパケットをＰＣ３に送信する。

【0074】

このように、通信制御装置１０ａは、ＩＣＭＰ解析機能１６で通信制御装置１０ａを通過するＩＣＭＰ Ｒｅｄｉｒｅｃｔパケットを監視する。そして、ＩＣＭＰ解析機能１６は、フォーマット６０におけるタイプが「５」のＩＣＭＰ Ｒｅｄｉｒｅｃｔであるか否かを判定する。

【0075】

ＩＣＭＰ解析機能１６は、タイプが「５」の場合、「インターネットヘッダ＋データグラムのデータ６４ビット」のフィールドから送信先ＩＰアドレス情報を抽出する。これに加え、ＩＣＭＰ解析機能１６は、「ゲートウェイインターネットアドレス」のフィールドから、ルータＡ（２）が指示したネクストホップ情報を抽出する。そして、ＩＣＭＰ解析機能１６は、抽出した送信先ＩＰアドレスとネクストホップ情報が通信制御装置１０ａのルーティングテーブル１３に存在するか否か確認して、存在しなければルーティングテーブル１３に追加する。

【0076】

このようにして、本実施形態に係る通信制御装置１０ａでは、手動設定したルーティングテーブル１３にネクストホップ情報が存在しない場合にも、自動的にルーティングテーブル１３を生成することができる。

【0077】

＜他の実施形態＞
［ａ］
実施形態１では、図１に示す通信制御装置１の制御部１ａ及び記憶部１ｂの機能について説明したが、通信制御装置１としてこれらの機能が実現できればよい。同様に、実施形態２，３では、図３又は図９に示す通信制御装置１０又は１０ａ内の各構成要素の機能について説明したが、通信制御装置としてこれらの機能が実現できればよい。また、各実施形態に係る通信制御装置は、レイヤ２ブリッジモードで働かせるような様々な製品に搭載することができる。

【0078】

［ｂ］
実施形態１〜３に係る通信制御装置は、次のようなハードウェア構成を有していてもよい。図１１は、実施形態１〜３に係る通信制御装置のハードウェア構成の一例を示す図である。なお、上記他の実施形態［ａ］についても同様である。

【0079】

図１１に示す通信制御装置１００は、プロセッサ１０１及びメモリ１０２を有する。実施形態１〜３で説明した通信制御装置における制御部１ａの機能或いは各機能１１，１２，１６は、プロセッサ１０１がメモリ１０２に記憶された制御プログラムを読み込んで実行することにより実現される。この制御プログラムは、プロセッサ１０１を制御部１ａとして機能させるためのプログラムとすることができる。また、各機能１１，１２，１４〜１６についてソフトウェアの構成として説明したことからも分かるように、この制御プログラムは、機能１１，１２，１４〜１６の少なくとも１つの機能を実現させるためのプログラムを含むことができる。また、メモリ１０２には、ルーティングテーブル１３も記憶しておくことができる。

【0080】

上述の例において、制御プログラムは、様々なタイプの非一時的なコンピュータ可読媒体（non-transitory computer readable medium）を用いて格納され、コンピュータに供給することができる。非一時的なコンピュータ可読媒体は、様々なタイプの実体のある記録媒体（tangible storage medium）を含む。非一時的なコンピュータ可読媒体の例は、磁気記録媒体（例えばフレキシブルディスク、磁気テープ、ハードディスクドライブ）、光磁気記録媒体（例えば光磁気ディスク）を含む。さらに、この例は、ＣＤ−ＲＯＭ（Read Only Memory）、ＣＤ−Ｒ、ＣＤ−Ｒ／Ｗを含む。さらに、この例は、半導体メモリ（例えば、マスクＲＯＭ、ＰＲＯＭ（Programmable ROM）、ＥＰＲＯＭ（Erasable PROM）、フラッシュＲＯＭ、ＲＡＭ（Random Access Memory））を含む。また、プログラムは、様々なタイプの一時的なコンピュータ可読媒体（transitory computer readable medium）によってコンピュータに供給されてもよい。一時的なコンピュータ可読媒体の例は、電気信号、光信号、及び電磁波を含む。一時的なコンピュータ可読媒体は、電線及び光ファイバ等の有線通信路、又は無線通信路を介して、プログラムをコンピュータに供給できる。

【0081】

［ｃ］
さらに、上述した様々な実施形態において、通信制御装置における通信制御方法の手順を例示したように、本開示は、通信制御方法としての形態も採り得る。この通信制御方法は、ルーティングテーブルを記憶する記憶部を備えるとともにファイアウォール機能及びレイヤ２ブリッジ機能を備えた通信制御装置によって実行される方法である。そして、この通信制御方法は、次のような、反映ステップ、中継ステップ、及びフィルタリングステップを有する。反映ステップは、通信経路上の経路情報を前記ルーティングテーブルに反映する。中継ステップは、レイヤ２ブリッジ機能により、受信したパケットをルーティングテーブルに基づき中継する。フィルタリングステップは、サブネットワーク内の機器から他のサブネットワーク内の機器に送信されたパケットを、ルーティングテーブルに基づき、ファイアウォール機能へ転送することなく上記他のサブネットワーク内の機器に転送する。なお、その他の例については、上述した様々な実施形態で説明した通りである。また、上記制御プログラムは、通信制御装置に上述した反映ステップ、中継ステップ、及びフィルタリングステップを実行させるためのプログラムであると言える。

【0082】

なお、本開示は上記実施形態に限られたものではなく、趣旨を逸脱しない範囲で適宜変更することが可能である。また、本開示は、それぞれの実施形態を適宜組み合わせて実施されてもよい。

【符号の説明】

【0083】

１、１０、１０ａ、１００ 通信制御装置
１ａ 制御部
１ｂ 記憶部
２ ルータＡ
３ ＰＣ
４ ルータＢ
５ 転送先サーバ
６ 第１サブネット
７ 第２サブネット
１１ ファイアウォール機能
１２ フィルタ機能
１３，４０ ルーティングテーブル
１４ ＩＮＰＵＴ
１５ ＯＵＴＰＵＴ
１６ ＩＣＭＰ解析機能
５１ 書き換え前のパケット
５２ 書き換え後のパケット
６０ フォーマット
１０１ プロセッサ
１０２ メモリ

【要約】

【課題】ファイアフォール機能を備えレイヤ２ブリッジモードで働く通信制御装置において、システムエンジニアや装置メーカの手間をかけることなく、異なるサブネット内に設置された機器間での通信を支障なく行う。
【解決手段】通信制御装置１は、ルーティングテーブルを記憶する記憶部１ｂと、制御部１ａと、を備える。制御部１ａは、ファイアウォール機能と、受信したパケットを上記ルーティングテーブルに基づき中継するレイヤ２ブリッジ機能と、通信経路上の経路情報を上記ルーティングテーブルに反映する反映機能と、を有する。制御部１ａは、サブネットワーク内の機器から他のサブネットワーク内の機器に送信されたパケットを、上記ルーティングテーブルに基づき、上記ファイアウォール機能へ転送することなく上記他のサブネットワーク内の機器に転送するフィルタ機能を有する。
【選択図】図１

【図1】

【図2】

【図3】

【図4】

【図5】

【図6】

【図7】

【図8】

【図9】

【図10】

【図11】